Средний

Патч

Опубликована

CVE-2026-11864

Multiple security vulnerabilities are addressed with IBM Cloud Pak for Business Automation iFixes for August 2026.

Публикация: 15.09.2026·Обновлена: 15.09.2026, 22:06·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

IBM Cloud Pak for Business Automation 26.0.0 through 26.0.0 Interim Fix 001, 25.0.0 through 25.0.0 Interim Fix 005, 24.0.1 through 24.0.1 Interim Fix 008, and 24.0.0 through 24.0.0 Interim Fix 009 is vulnerable to an XPath injection vulnerability, which could allow an authenticated attacker to exfiltrate sensitive application data and/or determine the structure of the XML document.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

IBM strongly recommends addressing the vulnerability now. Affected Product(s)Version(s)Remediation / FixIBM Cloud Pak for Business AutomationV26.0.0 - V26.0.0-IF001Apply security fix 26.0.0-IF002 https://www.ibm.com/support/pages/readme-ibm-cloud-pak-business-automation-2600-if002 IBM Cloud Pak for Business AutomationV25.0.0 - V25.0.0-IF005Apply security fix 25.0.0-IF006 https://www.ibm.com/support/pages/readme-ibm-cloud-pak-business-automation-2500-if006 IBM Cloud Pak for Business AutomationV24.0.1 - V24.0.1-IF008Apply security fix 24.0.1-IF009 https://www.ibm.com/support/pages/readme-ibm-cloud-pak-business-automation-2401-if009 IBM Cloud Pak for Business AutomationV24.0.0 - V24.0.0-IF009Apply security fix 24.0.0-IF010 https://www.ibm.com/support/pages/readme-ibm-cloud-pak-business-automation-2400-if010 Any open source library may be included in one or more sub-components of IBM Cloud Pak for Business Automation. Open source updates are not always synchronized across all components.

CVE Record: ibm ↗

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

IBM / Cloud Pak for Business Automation

{
  "status": "affected",
  "version": "26.0.0",
  "versionType": "semver",
  "lessThanOrEqual": "26.0.0 Interim Fix 001"
}

{
  "status": "affected",
  "version": "25.0.0",
  "versionType": "semver",
  "lessThanOrEqual": "25.0.0 Interim Fix 005"
}

{
  "status": "affected",
  "version": "24.0.1",
  "versionType": "semver",
  "lessThanOrEqual": "24.0.1 Interim Fix 008"
}

{
  "status": "affected",
  "version": "24.0.0",
  "versionType": "semver",
  "lessThanOrEqual": "24.0.0 Interim Fix 009"
}

cpe:2.3:a:ibm:cloud_pak_for_business_automation:26.0.0:*:*:*:*:*:*:*

cpe:2.3:a:ibm:cloud_pak_for_business_automation:26.0.0:interim_fix_001:*:*:*:*:*:*

cpe:2.3:a:ibm:cloud_pak_for_business_automation:25.0.0:*:*:*:*:*:*:*

cpe:2.3:a:ibm:cloud_pak_for_business_automation:25.0.0:interim_fix_005:*:*:*:*:*:*

cpe:2.3:a:ibm:cloud_pak_for_business_automation:24.0.1:*:*:*:*:*:*:*

cpe:2.3:a:ibm:cloud_pak_for_business_automation:24.0.1:interim_fix_008:*:*:*:*:*:*

cpe:2.3:a:ibm:cloud_pak_for_business_automation:24.0.0:*:*:*:*:*:*:*

cpe:2.3:a:ibm:cloud_pak_for_business_automation:24.0.0:interim_fix_009:*:*:*:*:*:*

CVSS: оценки и векторы

CVSS 3.1 · cve6.5

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияне меняется

C · Конфиденциальностьвысокое

I · Целостностьнет

A · Доступностьнет

Классы CWE

CWE-643 · Неправильная нейтрализация данных в выражениях XPath

Источники и ссылки

Исправление · www.ibm.com · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:14:52.534940+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T21:03:36.292057+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T21:03:36.292057+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T21:03:36.292057+00:00"
  },
  "solutions": [
    "cve"
  ],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:14:52.534940+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T21:03:36.292057+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

Данные обновлены05.11.2026, 00:14
Данные обновлены04.11.2026, 00:12
Данные обновлены03.11.2026, 00:11
Данные обновлены02.11.2026, 00:10
Данные обновлены31.10.2026, 11:57
Данные обновлены30.10.2026, 17:33
Данные обновлены29.10.2026, 11:23
Появились сведения об исправлении29.10.2026, 00:03

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	СИГНАЛЫ	ОПУБЛИКОВАНА
CVE-2026-12749 Multiple security vulnerabilities are addressed with IBM Cloud Pak for Business Automation iFixes for August 2026. IBM / Cloud Pak for Business Automation	Средний	6.4	0,23 %	Патч	15.09.2026
CVE-2026-12750 Multiple security vulnerabilities are addressed with IBM Cloud Pak for Business Automation iFixes for August 2026. IBM / Cloud Pak for Business Automation	Средний	6.4	0,23 %	Патч	15.09.2026
CVE-2026-12751 Multiple security vulnerabilities are addressed with IBM Cloud Pak for Business Automation iFixes for August 2026. IBM / Cloud Pak for Business Automation	Средний	5.4	0,28 %	Патч	15.09.2026
CVE-2026-12759 Multiple security vulnerabilities are addressed with IBM Cloud Pak for Business Automation iFixes for August 2026. IBM / Cloud Pak for Business Automation	Средний	6.5	0,37 %	Патч	15.09.2026
CVE-2026-12758 Multiple security vulnerabilities are addressed with IBM Cloud Pak for Business Automation iFixes for August 2026. IBM / Cloud Pak for Business Automation	Средний	5.4	0,3 %	Патч	15.09.2026